前沿模型超长上下文与安全发布治理

近期公开材料描述了一款新一代基础模型：上下文窗口达到 105 万 token，单次输出可达 12.8 万 token，定价为每百万输入 token 10 美元、每百万输出 token 50 美元；发布策略上，先向少量企业开放，再逐步进入 API 与付费计划。比参数更值得关注的，是公开材料将其网络安全能力标注为“关键级”：模型可自主发现未知漏洞、生成利用代码，而不需要人逐步指导。另有公开报道提到，相关发布路线曾因安全原因调整；在第三方模拟供应链攻击的测评中，新一代模型在 29.2% 的轮次里完成攻击，上一代模型为 6.3%。这些信息共同指向一个趋势：模型越强，发布越像走钢丝，能力规格、商业化节奏与安全治理必须同步设计。

一、能力规格变化：上下文和输出从“功能点”变成“系统变量”

105 万 token 上下文的价值不只是“一次能读更多材料”。当模型可以同时携带大量代码、日志、工单、合同、知识库片段和对话历史时，它实际上获得了一个更复杂的上下文装配面。好处是减少分块拼接、跨文档推理更完整；风险是权限继承、数据最小化、提示注入跨文档传播、缓存隔离和审计追溯都会变得更难。

12.8 万 token 输出同样具有两面性。长输出适合生成完整模块、迁移脚本、测试用例、分析报告，但也意味着错误可能以更高密度、更长链路传播。输出越长，人工复核成本越高，敏感信息泄漏面也越大。工程上不能只把“最大输出”当作一个可调参数，而应把它视为成本、质量、安全共同约束下的策略变量。

计费结构也值得注意：输入与输出并非对称计价，输出单价更高。长上下文请求如果缺乏预算控制，很容易出现“上下文越长越贵、输出越长越难审”的叠加问题。企业接入时应建立请求级预算、租户级配额、异常用量告警和截断/摘要策略，而不是等账单异常后再回溯。

二、分阶段开放：灰度发布是安全策略，不只是运营节奏

“先企业、后 API、再付费计划”的路径，本质上是一种风险递减的发布方法。企业场景通常有明确的责任人、审批流程和可观测环境，适合收集真实滥用模式；API 与付费计划覆盖面更广，必须在权限、速率、内容治理和应急响应成熟后再扩大。

可分阶段设置以下门禁：

• 租户白名单：只允许通过安全评估的租户接入，按用例审批，而非按账号直接放开。
• 能力开关：将长上下文、长输出、工具调用、代码执行等能力拆分为独立开关，按场景组合授权。
• 速率与配额：限制单位时间请求数、并发数、单次上下文长度、单次输出长度和日预算。
• 影子流量与回滚：新版本先跑影子流量或小流量，保留快速回滚路径；模型版本、系统提示、工具权限应分别灰度。
• 变更评审：模型升级、提示模板调整、工具白名单变更都纳入变更管理，避免“静默升级”带来行为漂移。

灰度不是简单排队，而是用真实流量换安全信号。没有观测指标和回滚机制的灰度，只是把风险延后暴露。

三、“关键级”网络安全能力意味着什么

关键级网络安全能力的核心含义，是模型可以在较少人工指导下完成漏洞发现、利用代码生成等高风险任务。对防御方而言，这既可能提升代码审计和漏洞修复效率，也可能被滥用为攻击链自动化工具。治理不能只依赖提示词拒绝，因为提示词层的约束容易被绕过；必须把模型当作高权限组件，采用系统级控制。

重点控制面包括：

1. 工具调用白名单：只开放只读检索、沙箱执行、工单创建等必要工具；网络扫描、代码执行、数据导出等高风险动作必须单独审批。
2. 网络出口限制：默认禁止模型直接访问外部网络；确需访问时通过受控代理，并记录目标、频率和返回内容。
3. 代码执行沙箱：任何生成代码先在隔离环境运行，限制文件系统、环境变量、网络和系统调用；不可逆操作必须阻断。
4. 双人审批与不可逆操作保护：删除、发布、转账、权限变更等动作需要人工复核，必要时双人审批。
5. 审计留痕：记录请求哈希、上下文摘要、工具调用链、审批人、输出校验结果和模型版本，保证可追溯。
6. 异常行为检测：监控高频扫描、批量导出、异常工具组合、敏感数据命中率上升等信号。

四、测评数据应如何解读

公开测评中，新一代模型在模拟供应链攻击里 29.2% 的轮次完成攻击，上一代为 6.3%。这组数据最重要的信息不是绝对比例，而是能力跃迁的非线性：当模型具备更长上下文、更强规划和工具使用能力时，攻击链的自动化程度可能显著提升。

但测评环境不等于生产环境。模拟攻击通常有既定目标、受控工具和有限防御，真实系统还有身份认证、网络分段、审批流程和监控告警。因此不能把 29.2% 直接等同于生产风险，也不能因为“还有 70.8% 未完成”而放松治理。正确做法是把测评转化为上线门禁：针对供应链、代码仓库、工单系统、数据导出等场景建立持续红队与场景化评测，每次模型升级都重新跑一遍，并记录阻断率和人工复核率。

五、企业接入清单

企业接入超长上下文模型，建议至少覆盖以下清单：

• 数据分级：明确哪些数据可进入上下文，哪些必须脱敏或禁止上传。
• 租户隔离：上下文缓存、日志、向量检索结果按租户隔离，避免跨租户污染。
• 最小权限：模型只获得完成任务所需的最小工具权限，默认只读。
• 输出校验：对代码、配置、命令、外链和敏感字段做规则校验与人工复核。
• 预算控制：按租户、用例、请求设置预算与告警，长上下文请求单独计量。
• 监控告警：关注拒绝率、工具失败率、敏感数据命中、输出校验失败、单请求成本和人工复核率。
• 应急响应：准备禁用工具、降级模型、切断网络出口、回滚版本的预案。

示意性策略可以写成如下配置：

model_access:
  mode: staged
  allowed_tenants: ["tenant_a", "tenant_b"]
  data_policy:
    redact: ["secret", "credential", "personal_id"]
    max_context_tokens: 1050000
    max_output_tokens: 128000
  tool_policy:
    allow: ["read_only_search", "sandbox_execute", "ticket_create"]
    require_approval: ["network_scan", "code_execute", "data_export"]
  audit:
    log_prompt_hash: true
    log_tool_calls: true
    retain_days: 180
  budget:
    input_usd_per_million: 10
    output_usd_per_million: 50
    alarm_threshold: 0.8

对应的请求门控伪代码可以抽象为：

function gate_request(req):
    if not tenant_in_staged(req.tenant):
        reject("tenant not enabled")
    ctx = redact(req.context)
    if token_count(ctx) > MAX_CONTEXT:
        ctx = summarize_or_truncate(ctx)
    risk = classify_task(req.task)
    if risk == HIGH and not has_human_approval(req):
        require_approval(req)
    if req.tool in DANGEROUS_TOOLS:
        enforce_sandbox(req.tool)
        require_approval(req)
    resp = call_model(ctx, max_output=MAX_OUTPUT)
    validate_output(resp)
    audit(req, resp)
    update_budget(req.tenant, req.usage)
    return resp

六、发布走钢丝：可观测、可回滚、可追责

能力越强，发布越不能只看“跑分”。可观测性应覆盖请求、上下文、工具、输出、成本和人工复核；可回滚性应覆盖模型版本、提示模板、工具权限和策略配置；可追责性应覆盖审批人、操作链和审计日志。组织上需要安全、法务、业务和工程联合评审，把红队评测、上线门禁、应急响应串成闭环。

超长上下文和关键级网络安全能力不是孤立功能，而是系统级风险源。开发者应默认不信任模型输出，坚持最小权限、分阶段开放、沙箱隔离、持续评测和预算控制。模型越强，发布越像走钢丝；真正决定能否安全落地的，不是参数规模，而是治理工程是否跟得上能力跃迁。